Deux lois, une date, des obligations immédiates
La Cyberbeveiligingswet et sa loi jumelle, la Wet weerbaarheid kritieke entiteiten, sont toutes deux entrées en vigueur le 15 août 2026, et aucune des deux n'a attendu de période transitoire avant que les obligations qui comptent en premier, l'enregistrement et la déclaration des incidents, ne s'appliquent.
La Cyberbeveiligingswet a été signée le 8 juillet 2026 et publiée au Staatsblad 2026, 187 deux jours plus tard. Son décret d'application, le Cyberbeveiligingsbesluit, a été publié séparément au Staatsblad 2026, 189. Ensemble, ils transposent la directive européenne 2022/2555, la directive NIS2, en droit néerlandais. Le périmètre est vaste selon les standards nationaux : plus de 8 000 organisations réparties sur 18 secteurs, dont l'énergie, l'eau potable, les infrastructures numériques, la santé, l'administration publique et les transports.
Le tableau ci-dessous présente les différences de portée et d'origine entre les deux lois néerlandaises.
| Loi | Directive européenne transposée | Entités couvertes |
|---|---|---|
| Cyberbeveiligingswet | NIS2 (2022/2555) | Plus de 8 000 sur 18 secteurs |
| Wet weerbaarheid kritieke entiteiten | CER (2022/2557) | Environ 500 entités critiques |
Le chiffre de neuf mois qui est passé inaperçu
La couverture médiatique de la loi s'est arrêtée sur l'expression 'aucun délai de grâce', et ce n'est vrai qu'à moitié. L'horloge qui n'a réellement aucun délai de grâce est celle de l'enregistrement auprès du NCSC et de la déclaration d'un incident, pas celle qui consiste à achever son programme de sécurité.
L'enregistrement via le registre national, MijnNCSC, est devenu obligatoire dès l'entrée en vigueur de la loi, et toute modification apportée aux informations d'une entité enregistrée doit être signalée dans un délai de 14 jours. Deux obligations distinctes suivent un calendrier plus long : l'obligation d'évaluation des risques débute 9 mois après la désignation formelle d'une entité, et l'obligation de disposer de mesures de sécurité débute 10 mois après cette désignation.
Cette distinction compte pour quiconque lit la loi comme si elle offrait du temps. Ce n'est pas le cas. Elle offre du temps pour construire le programme. Elle n'offre pas de temps pour éviter de s'enregistrer, et elle n'offre aucun répit sur l'horloge de déclaration des incidents une fois dans le périmètre.
Une horloge différente de celle de l'Allemagne
La transposition allemande de NIS2 suit un processus plus lent, fondé sur l'audit : l'autorité allemande de cybersécurité identifie et confirme les entités concernées sur une fenêtre plus longue avant que les obligations ne s'appliquent pleinement. Une entreprise qui a consulté le calendrier allemand en supposant qu'il s'appliquait aussi à sa filiale néerlandaise regardait la mauvaise horloge.
Le modèle néerlandais lie la désignation à l'enregistrement plutôt qu'à un cycle d'audit national, si bien que le délai personnel de 9 à 10 mois d'une entité néerlandaise commence à courir dès son enregistrement ou sa désignation, et non à partir d'une date nationale fixée par le gouvernement. Deux États membres de l'UE transposant la même directive ont produit deux calendriers pratiques différents, et aucun des deux ne constitue une référence fiable pour l'autre.
Ce que cela signifie pour vous
Un dirigeant disposant d'une filiale néerlandaise, d'un prestataire néerlandais de traitement de données, ou d'un partenaire logistique ou énergétique néerlandais a besoin d'une vérification de périmètre cette semaine, pas en décembre. Commencez par vérifier si l'un des 18 secteurs couverts concerne une entité néerlandaise que vous contrôlez ou dont vous dépendez.
Si c'est le cas, vérifiez directement le statut d'enregistrement auprès de MijnNCSC plutôt que de supposer qu'un prestataire ou une filiale l'a déjà fait, car l'obligation d'enregistrement ne bénéficie d'aucun délai. Trouvez ensuite la date de désignation de l'entité, car c'est cette date, et non le 15 août, qui déclenche son horloge personnelle de 9 à 10 mois pour l'évaluation des risques et les mesures de sécurité.
Enfin, informez spécifiquement le conseil de direction. L'article de NIS2 consacré à la gouvernance place la responsabilité sur l'organe de direction de l'entité, pas seulement sur une fonction conformité ou informatique, et cette exigence ne s'assouplit pas simplement parce que les échéances techniques restent encore à plusieurs mois.
À lire ensuite: Deux Outils Open Source Sont Tombés en Quelques Heures | OpenAI Confirme la Pause d'Astra
